こんにちは！インフラやクラウドのセキュリティを担当していると、毎日たくさんのログ（システムが記録する足あと）が流れてきて、「本当にこれで安全なのかな…」と不安になりますよね。
特に、AWSの CloudTrail や Azure Monitor といった「クラウドの操作ログ」は、いわば「会社全体のマスターキーがいつ、誰に使われたかを記録する防犯カメラ」のようなものです。このカメラの映像をただ録画するだけでなく、怪しい動きがないかを自動で見張る仕組みを作ることが、現代のクラウドセキュリティでは何よりも大切になってきます。
今回は、セキュリティに初めて触れる一般開発者や新人のIT担当者の方向けに、「クラウドのIAM（権限管理）ログの監査と、異常検知の自動化」について、身近な防犯のたとえを交えながら一歩ずつ優しく解説していきますね！
—
1. なぜクラウドの「IAMログ」は泥棒に狙われるのか？
皆さんのご自宅を想像してみてください。頑丈な玄関の鍵（パスワード）をかけていても、もし「合鍵を勝手に量産できる魔法のカード」がリビングのテーブルに置きっぱなしになっていたらどうでしょう？ 泥棒はそのカードを盗んで、いつでも自由に家の中に入り放題になってしまいますよね。
クラウドの世界における IAM（Identity and Access Management：ユーザーや権限の管理機能） は、まさにその「合鍵を作る仕組み」そのものです。
攻撃者は、クラウド環境に侵入したあと、真っ先にこのIAMの仕組みを悪用しようとします。
- 「自分たちの味方になる新しい管理者アカウントを作っちゃおう」
- 「これまでの悪事がバレないように、防犯カメラ（監査ログ）の電源を切っちゃおう」
こうした不正な変更が行われていないかを監視するのが、今回テーマにする CloudTrail や Azure Monitor のログ監査なんです。
—
2. 防犯カメラの映像（ログ）をどうやって見張るの？
「でも、人間が毎日24時間ずっとログの画面を眺めているなんて無理ですよね？」
その通りです！人間は疲れますし、夜中にそんな面倒な作業はしたくありません。
そこで登場するのが、SIEM（Security Information and Event Management） や、クラウドが標準で用意している自動アラートの仕組みです。これは、防犯カメラの映像に「不審者が映ったら、警備員のスマホに即座にアラートを飛ばす自動システム」のようなものになります。
例えば、以下のような怪しい動きを検知したら、すぐにSlackやメールに通知が飛ぶように設定しておきます。
1. 深夜に突然、新しい管理者権限（IAMユーザー）が作成された
2. これまでアクセスしたことがない海外のIPアドレスから、重要データにアクセスがあった
3. 監査ログ（CloudTrail）の記録を止めようとするコマンドが実行された
こういう「普段と違う動き」を自動で見つけてくれる仕組みを、一緒に作っていきましょう！
—
3. 【実践】AWS CloudTrailのログを監視して異常を検知する仕組みを作ろう
それでは、実際に手を動かして…といっても難しく考えないでくださいね。ここでは、AWS環境で「怪しいIAM権限の変更」があったときに、自動で検知してSlackに通知を送る仕組みのイメージを見ていきましょう。
AWSでは、CloudTrail ですべての操作ログを記録し、それを Amazon EventBridge（イベント検知） でキャッチして、AWS Lambda（プログラムの実行環境） に渡すという黄金パターンを使います。
ステップ1：検知したいルール（イベントパターン）を決める
まずは、EventBridgeに「こういう操作があったら教えてね」とルールを教えます。今回は「管理者権限（AdministratorAccess）に関するポリシーがアタッチ（付与）された瞬間」を狙い撃ちしてみましょう。
{
"source": ["aws.iam"],
"detail-type": ["AWS API Call via CloudTrail"],
"detail": {
"eventName": [
"AttachUserPolicy",
"AttachRolePolicy",
"PutUserPolicy"
],
"requestParameters": {
"policyArn": [
"arn:aws:iam::aws:policy/AdministratorAccess"
]
}
}
}- 解説: この設定（イベントパターン）により、誰かが「何者かに最強の管理者権限を与えた瞬間」をピンポイントでスナイパーのように見つけることができます。
ステップ2：Lambdaで通知スクリプトを書く（Pythonの例）
イベントをキャッチしたら、次はそれを人間が分かりやすいように加工してSlackなどに飛ばします。以下のPythonコードは、Lambdaで動かす通知スクリプトのサンプルです。
import json
import urllib.request
import os
def lambda_handler(event, context):
# EventBridgeから送られてきたログの詳細を取り出す
detail = event.get('detail', {})
event_name = detail.get('eventName', 'UnknownEvent')
user_identity = detail.get('userIdentity', {})
user_name = user_identity.get('userName', 'UnknownUser')
source_ip = detail.get('sourceIPAddress', 'UnknownIP')
# 誰が、いつ、どこから、どんな操作をしたかメッセージを組み立てる
message = (
f"🚨 【セキュリティ警告】怪しいIAM権限の変更を検知しました！\n"
f"• イベント名: `{event_name}`\n"
f"• 実行ユーザー: `{user_name}`\n"
f"• アクセス元IP: `{source_ip}`"
)
# SlackのWebhook URL（環境変数から安全に取得する）
slack_url = os.environ.get('SLACK_WEBHOOK_URL')
if slack_url:
payload = {"text": message}
req = urllib.request.Request(
slack_url,
data=json.dumps(payload).encode('utf-8'),
headers={'Content-Type': 'application/json'}
)
try:
urllib.request.urlopen(req)
print("Slackへの通知が成功しました。")
except Exception as e:
print(f"Slackへの通知に失敗しました: {e}")
return {
'statusCode': 200,
'body': json.dumps('監査ログの処理が完了しました。')
}- 解説: ソースコード内の
event.get()やインラインコードで囲んだevent_nameなどの変数を使い、どのユーザーがどこから怪しい操作をしたのかを綺麗に整形しています。これなら、アラートが飛んできたときにすぐ誰がやったか特定できますよね。
—
4. 現場のプロが教える「運用時の泥臭い注意点」
さて、ここまで綺麗な仕組みを紹介してきましたが、実際の現場では「通知が多すぎて誰も見なくなる（オオカミ少年状態）」という罠によくハマります。
開発チームがデプロイテストやメンテナンスで、正当な理由があってIAMポリシーを変更したときにも、このアラートは容赦なくピコピコ鳴ってしまいます。
そのため、実務では以下のような工夫を取り入れるのがプロの技です。
- ホワイトリスト（除外設定）の活用: いつも自動デプロイで使っている特定のシステム用アカウント（サービスロール）からの変更は、あらかじめアラートの対象外（除外）にしておく。
- 「誰が・なぜ」の追跡: アラートを受け取ったら、単に怒るのではなく、「本当にこの変更はチケットの予定通りだったか？」をJiraやGitHubのチケットと突合する習慣をつける。
セキュリティは、一度システムを作って終わりではありません。「いかに日常の運用に負担をかけず、本当の脅威だけを見つけ出せるか」のチューニングの連続です。
—
まとめ
今回は、クラウド環境におけるIAMログの監査と、異常検知の自動化について解説しました。
- クラウドのIAMは、いわば「会社の合鍵を作る仕組み」なので泥棒に一番狙われやすい。
- CloudTrailやAzure Monitorの防犯カメラの映像を、EventBridgeやLambdaを使って自動で見張る仕組みを作ろう。
- アラートがうるさくなりすぎないよう、ホワイトリストを上手に使って現実的な運用に落とし込もう。
「セキュリティ対策って難しそう…」と思っていた方も、こうした小さな自動化の積み重ねなら、一歩ずつ進められそうな気がしませんか？
あなたのプロジェクトの安全を守る第一歩として、ぜひ小さなアラート通知の仕組みから試してみてくださいね！応援しています！
コメント